DISPOSITIF ET PROCEDE DE CONTROLE D'ACCES A DES 

RESSOURCES 



La presente invention concerne un dispositif et un procede de controle 
5 d'acces a des ressources d'un systeme informatique. 

L'art anterieur 

Les systemes informatiques disposant d'un tres grand nombre de 
10 ressources reparties geographiquement necessitent desormais de nombreux 
administrateurs pour leur gestion. Chaque administrateur est proprietaire de 
droits d'execution de commandes privilegiees sur des ressources 
determinees. 

15 Un probleme pose par Tinvention est de controler les droits des 

administrateurs dans un systeme informatique et d'empecher ceux qui n'ont 
pas regu I'autorisation adequate d'effectuer des actions sur des ressources 
donnees. 

20 De plus, le nombre de ressources dans un systeme informatique 

s'accroTt rapidement. De ce fait, le controle d'acces est rendu complexe 
compte tenu du nombre important d'informations a gerer. 

Actuellement, pour repondre a de tels problemes, les systemes 
25 informatiques comprennent au niveau de chacune des ressources gerees 
une liste de controle d'acces specifiant les droits d'administrateurs ou de 
groupes d'administrateurs identifies, d'effectuer une action donnee sur la 
ressource concernee. Les droits des administrateurs ou groupes 
d'administrateurs sont precises ressource par ressource. La liste des droits 
30 associes a une ressource est enregistree dans un fichier associe a ladite 
ressource. Lorsqu'une application lancee par un administrateur donne 
souhaite acceder a une ressource, le systeme consulte la liste qui est 



2 



rattachee a la dite ressource et verifie si ledit administrateur a le droit d'y 
acceder. 

Un tel systeme est base sur I'identite de radministrateur et plus le 
5 nombre d'administrateurs augmentent, plus le systeme se complexifie, plus il 
devient lent et couteux. Par ailleurs, le systeme necessite d'acceder a la 
ressource Interrogee meme si radministrateur appelant n'a pas les droits 
suffisants requis pour ce faire et que la demande de radministrateur est 
finalement rejetee. II en resulte un temps de reponse important. 

10 

Un but de la presente invention consiste a simplifier le precede de 
controle d'acces a des ressources d'un systeme. 

Un autre but de invention est d'eviter Tacces systematique aux 
15 ressources interrogees pour verifier les droits de Tappelant et autoriser 
I'acces auxdites ressources. 

Resume de rinvention 

20 Dans ce contexte, la presente invention propose un procede de 

controle d'acces d*un demandeur a des ressources dans un systeme 
informatique, caracterise en ce qu'il consiste a definir des roles recouvrant un 
ou plusieurs privileges et representant une competence du demandeur pour 
realiser des taches specifiques, a enregistrer les roles definis dans des 

25 moyens de stockage, et a enregistrer une liste de controle d'acces 
definissant les conditions d'obtention d'un droit sur un type de ressource, a 
savoir d'une permission configuree en terme de privileges dans lesdits 
moyens. 

30 La presente invention concerne egalement le systeme de mise en 

oeuvre dudit procede. 
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Presentation des figures 

D'autres caracteristiques et avantages de ['invention apparaitront a la 
lumiere de la description qui suit, donnee a titre d'exemple illustratif et non 
5 limitatif de la presente invention, en reference aux dessins annexes dans 
lesquels: 

•la figure 1 est une vue schematique d'une forme de 
realisation du systeme selon I'inventlon ; 
10 •la figure 2 represente une forme de realisation de la liste 

representee sur le figure 1 ; 

•la figure 3 est un exemple de la liste representee sur la 
figure 2. 

•la figure 4 est un tableau d'exemples de groupes 
1 5 generiques de droits et ressources. 

Description d'une forme de realisation de I'invention 

Le systeme informatique peut etre un systeme dont I'environnement 
20 est de type distribue ou local. 

Comme le montre la forme de realisation du systeme selon I'invention 
illustree sur la figure 1 , le systeme informatique 1 est distribue et compose de 
machines 2a, 2b, 2c, 2d organisees en un ou plusieurs reseaux 3. Une 

25 machine 2 est une unite conceptuelle tres large, de nature materielle et 
logicielle. Les machines peuvent etre tres diverses, telles que des stations de 
travail, serveurs, routeurs, machines specialisees et passerelles entre 
reseaux. Seuls les composants des machines 2 du systeme 1 
caracteristiques de la presente invention seront decrits, les autres 

30 composants etant connus de I'homme du metier. 
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Comme le montre la figure 1, dans la presente invention, le systeme 
informatique 1 comprend au moins une machine 2a dite machine 2a ciiente, 
au moins une machine 2b de stockage de securite centralisee, au moins un 
serveur 2c d'administration, au moins une machine 2d de ressource 
5 administree. 11 est a noter que ies machines 2 sont susceptibles d'etre 
regroupees Ies unes aux autres, ainsi par exemple, la machine 2b de 
stockage et le serveur 2c d'administration peuvent ne former qu'une seule 
machine. 

10 La ressource 2d est entendue au sens large, a savoir toute entite, 

logique et/ou physique, accedee et manipulee par des machines 2a ciiente. 
La ressource se presente a titre illustratif sous la forme d'une imprimante, un 
fichier... La ressource 2d est, dans I'exemple decrit, caracterisee par un type, 
et eventuellement un identifiant. Un type de ressource regroupe un ensemble 

15 de droits qui s'appliquent a toutes Ies ressources de ce type. L'identifiant est 
constitue par exemple par un nom, un chemin d'acces... 

A titre illustratif, la ressource 2d est une imprimante de type 
« imprimante reseau >> et ayant pour identifiant le chemin de la ressource 

20 « \\mao.dom\bleuet ». Selon un autre exemple, la ressource 2d est une base 
de donnees de facturation de Louveciennes de type « base de donnees » 
ayant pour identifiant le nom de la base de donnees 
« database_facturation.frlv.bull.fr ». Le type « base de donnees » regroupe 
par exemple Ies droits suivants : « demarrer J arreter », « configurer 

25 etc. 

Un critere de controle d'acces est une propriete de la ressource 2d 
utilisee pour realiser le controle d'acces sur cette ressource. Le critere 
identifie de maniere unique une ressource particuliere ou un ensemble de 
30 ressources. Les proprietes de la ressource susceptibles d'etre utilisees 
comme criteres sont par exemple le type de la ressource, le chemin ou la 
combinaison des deux. 
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La machine 2a Cliente comprend au moins une entite 4 appelante, une 
interface 5 de programmation applicative (API), un service 6 de controle 
d^acces (appele RAG). L'entite 4 appelante, I'API 5 et le RAG 6 sont 
5 susceptibles de faire partie d'une unique machine 2 ou de machines 2 
differentes. 

L'entite 4 appelante represente dans ce qui suit toute entite logique 
et/ou physique effectuant un ensemble de procedures et traitements et 
10 susceptibles de necessiter I'acces a une ou plusieurs ressources 2d. L'entite 
4 appelante se presente par exemple sous la forme d'une application, un 
fichier, une commande. 

Un demandeur 7 lance l'entite 4 appelante et requiert I'autorisation 
15 d'effectuer une action dans le cadre de cette entite 4 sur une ressource 2d. 
Le demandeur 7 est une personne physique et dans la forme de realisation 
illustree un administrateur. Dans exemple illustre, Tentite 4 appelante se 
presente sous la forme d'une application et la ressource 2d d'une base de 
donnees : la machine 2a cliente traite la question de savoir si I'administrateur 
20 7 operant sur ladite application 4 a le droit d'effectuer une action sur une 
base de donnees 2d. Le demandeur ne peut acceder a ladite ressource 2d 
que si il dispose de droits suffisants. 

Un droit designe une ou plusieurs actions ou commandes effectuees 
25 par un demandeur 7 dans le contexte d'une entite 4 appelante, d'une 
ressource 2d ou d'un ensemble de ressources 2d. Pour un demandeur 7, le 
droit est global ou specifique a une ressource 2d, et dans ce dernier cas, il 
definit un type d'acces particulier a la ressource 2d concernee. Par exemple, 
dans le contexte de bases de donnees, un administrateur peut avoir le droit 
30 d'arreter ou de demarrer des bases de donnees particulieres selon son role 
et ses privileges d'administration. 
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L'entite 4 appelante regoit de demandeurs 7 des requetes d'acces a 
des ressources 2d. Selon une forme de realisation particuliere, l'entite 4 
appelante offre au demandeur 7 une interface graphique 8 par I'intermediaire 
de laquelie le demandeur 7 saisit sa requete. L'API 5 transmet Tinterrogation 
5 de l'entite 4 appelante au RAC 6. L'API 5 fait interface entre Tentite 4 
appelante et le RAC 6 auquel elle est associee. Le RAC 6 contrdle Tacces 
des demandeurs 7 aux ressources 2d interrogees. 

L'API 5 offre notamment des fonctions d'acces au RAC notamment 
10 pour la prise de decision en reponse a la question posee par l'entite 4 
appelante. 

Le RAC 6, comme le montre la figure 1, comporte trois modules 
fonctionnels : 

15 • un module 9 d'acces a des moyens 10 de stockage et plus 

particulierement dans la presente forme de realisation, a des 
moyens 10 d'enregistrement de roles, privileges et domaines de 
validite du demandeur qui seront deflnis dans ce qui suit ; 
• un module 11 d'acces a des moyens 12 de stockage, et plus 

20 particulierement dans la presente forme de realisation, a des 

moyens 12 d'enregistrement de listes de controle d'acces des 
demandeurs permettant de charger les listes de controle d'acces se 
presentant sous la forme de fichiers, ou autres moyens de 
stockage ; le module 1 1 est appele dans ce qui suit le RAD. 

25 • un moteur 13 d'autorisation. 

Le systeme selon la presente invention est base sur une 
caracteristique particuliere des demandeurs 7, a savoir leur role dans 
Tentreprise, et plus particulierement (exemple illustre) dans I'administration 
30 des systemes informatiques de I'entreprise. Pour definir le role d'un 
demandeur, 11 est tout d'abord necessaire d'expliciter ce que represente un 
privilege. 
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Un privilege est un attribut de securite d'un demandeur 7 pour 
permettre le controle d'acces de ce dernier a des ressources 2d. Chaque 
ressource dispose d'une liste propre de privileges ; I! est egalement 
5 susceptible de prevoir des listes de privileges communs a plusieurs 
ressources ou a tout le systeme. Le privilege est attribue a un demandeur 
directement ou indirectement par rintermediaire d'un role. Par exempie, un 
administrateur peut se voir attribuer le privilege « admin_db » 
d'administrateur de base de donnees, privilege qui lui permet de demarrer 
1 0 tout type de base de donnees (figure 3). 

Un role est constitue d'un ensemble de privileges : il recouvre une 
connotation metier et represente une competence pour realiser un ensemble 
d'activites et de taches d'administration. Ainsi, par exempie, le demandeur 

15 « Dupont » a pour role (metier) administrateur de rapplication de facturation : 
au niveau du systeme, le demandeur « Dupont », compte-tenu de son role 
d'administrateur de rapplication de facturation, dispose des privileges 
« administrateur de base de donnees » (« admin_db »), « super_db », 
« operateur reseau », « installateur de logiciel a distance », « operateur 

20 systeme ». 

L'ensemble des privileges dans un role donne serf de base pour 
controler les actions d'un demandeur. Un demandeur se volt attribuer un ou 
plusieurs roles. Le demandeur 7 definit de nouveaux roles ou modifient des 
25 roles existants en ajoutant ou supprimant des privileges. 

Les listes de controle d'acces enregistrees dans les moyens 12 
d'enregistrement definissent les conditions d'obtention de droits d'acces sur 
des ressources rattachees a des entites 4 les gerant : elles offrent une 
30 interface basee sur des permissions configurees. 
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Une permission est une association d'une ressource a un droit. Par 
exemple, une permission peut etre d'arreter (droit) une base de donnees 
particuliere (ressource). La permission represente un type d'acces, une 
action ou une operation particuliere dans le contexte d'une entite 4 appelante 
5 ou d'une ressource 2d de Tentite 4 appelante en question. 

Les permissions sont de deux types : les permissions demandees et 
les permissions configurees. 

1 0 •Les permissions demandees sont des questions posees par 

une entite 4 appelante au RAC 6. Les reponses a ces questions 
permettent aux entites 4 appelantes de savoir si un droit d'acces 
est a autoriser au demandeur dans le contexte courant d'utilisation 
de I'entite. 

15 •Les permissions configurees definissent un mode d'acces 

possible sur une ou plusieurs ressources, comme vu plus haut. Les 
permissions configurees sont enregistrees dans la liste 12. 

Les conditions d'obtention de permissions sont exprimees sous forme 
20 de combinaisons de privileges. 

Les listes de permissions et conditions d'obtention de ces permissions 
sont constituees de lignes, appelees entrees. La figure 2 represente une 
entree d'une liste. L'entree exprime les permissions configurees et les 

25 conditions d'obtention de droit sur une ressource en terme de privileges 
requis. L'entree comprend trois colonnes : une colonne droit, une colonne 
ressource, les colonnes droit et ressource formant la permission configuree, 
et une colonne privilege. Selon une forme illustrative de I'invention, la 
ressource est identifiee par son type ; le type est le critere de controle 

30 d'acces. 
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Les droits ou les ressources sont susceptibles d'etre regroupes en 
groupes generiques representes par des filtres sous forme de caracteres 
speciaux tels qu'une etoile « * » ou par des mots-cles tels que le mot « any ». 
Le mot-cle « any » signifie par exemple tout privilege. Le tableau de la figure 
5 4 indiquent des exemples de signification du filtre etoile *. Le filtre « etoile » 
applique a un droit de format « xyz* » signifie tout droit dont le nom 
commence par xyz. Le filtre « etoile » applique a un type de ressource de 
format « mytype* » signifie toute ressource dont le type est mytype. Le filtre 
« etoile » applique a un chemin de ressource « /abc/def/* » signifie toute 
1 0 ressource dont le chemin est un sous-ensemble de /abc/def/. 

Les filtres et mot-cles permettent de regrouper un grand nombre 
d'entrees en une seule et de faciliter de ce fait I'administration de la 
configuration. 

15 

Dans la forme de realisation decrite, une entree dans la liste 
represente des acces autorises. Selon un developpement de I'invention, une 
entree contient egalement des permissions negatives. 

20 Le systeme selon la presente invention permet de restreindre les 

ressources accessibles pour un role donne a une partie uniquement de 
I'ensemble global des ressources 2d au moyen d'un domaine de validite du 
role. Un domaine de validite definit une partie d'un ensemble de ressources 
2d, accessible pour un role donne. Si les instances des ressources sont 

25 organisees hierarchiquement dans un arbre, une collection de branches de 
ressources determine un domaine de validite. 

Une information supplementaire relative a la necessite de consulter le 
domaine de validite est prevue dans I'entree de la liste pour eviter la 
30 comparaison systematique du domaine avec le chemin de la ressource 
concernee. La comparaison n'est pas necessaire lorsque le domaine de 
validite correspond au chemin de la ressource. L'information en question 



10 

consiste en un booleen (oui-non) exprimant la necessite de consulter ou pas 
le domaine de validite. 

La figure 3 represente une liste de controle d'acces incluant le champ 
relatif d la necessite de consulter le domaine de validite : ce champ est 
nomme domaine. Pour qu'un administrateur muni du privilege super-bd 
puisse arreter dans la base de donnees, le RAC doit verifier que le chemin 
de la ressource correspond au domaine de validite ce qui n'est pas le cas si 
I'administrateur souhaite demarrer dans la base de donnees. Dans ce dernier 
cas, I'administrateur peut demarrer toute base de donnees sans restriction. 

Le RAC 6 attribue une valeur par defaut aux champs non renseignes 
d'une entree de la liste. 

Selon une forme de realisation illustrative de I'invention, les valours 
par defaut sont : 

•Pour le type de ressource : * (tout type de ressource : un 
droit associe au type de ressource * signifie que le droit s'applique 
a tout type de ressource) ; 

•Pour le droit :* (tout droit : un droit * associe a une 
ressource signifie que tout droit s'applique a ladite ressource) ; 

•Pour le domaine : oui ; 

•Pour les privileges requis : any (aucun privilege n'est requis 
pour le droit demande). 

Les donnees de securite d'un demandeur sont constituees d'un ou 
plusieurs roles associes a un ou plusieurs privileges et de maniere 
optionnelle, a un domaine de validite du role. 

Les donnees de securite d'un demandeur sont ^ distinguer de la liste 
des controies d'accds dans laquelle sont decrites les conditions d'obtention 
d'un droit sur une ressource en terme de privileges requis et en terme de 
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necessite ou pas de consulter le domaine de validite du role. Les donnees de 
securite sont enregistrees dans les moyens de stockage 10 et la liste de 
controle d'acces dans les moyens de stockage 12. 

5 Le systeme selon la presente invention fonctionne de la maniere 

suivante. 

Lorsque le demandeur 7 lance I'entite 4 appelante, il selectionne un 
role d 'ad ministration parmi ceux proposes par I'interface graphique 8 jusqu'a 
10 sa deconnexion de ladite entite 4. Dans Texemple pris tout au long de la 
description qui suit, le demandeur « Dupont » est un administrateur qui 
selectionne le role administrateur de I'application de facturation. 

Le demandeur 7 demande a effectuer une action sur une ressource 
15 donnee. Par exemple, I'administrateur Dupont souhaite arreter la base de 
donnees de facturation de Louveciennes dont le nom est 
« database_facturation.frlv.bull.fr ». 

Lorsque I'entite 4 appelante doit decider d'autoriser ou refuser une 
20 action du demandeur 7 sur une ressource 2d determinee, elle pose sur la 
base de Tidentite du demandeur la question a TAP! 5. L'entite 4 appelante 
demande une permission a I'API 5 ce qui constitue une permission 
demandee (comme vu plus haut). 

25 L'entite 4 appelante soumet a I'API 5, a titre illustratif, la question 

suivante : 

« est-ce que i'administrateur Dupont a le droit d'arreter la ressource 
base de donnees de facturation de Louveciennes dont le nom est 
« database facturation.frlv.bull.fr 

30 

A reception de ladite question et au premier appel de I'API 5, le RAG 6 
recherche le role et la liste des privileges du demandeur 7 au moyen du 
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module 9 d'acces aux privileges. Dans I'exemple, le demandeur 7 a 
notamment pour role « administrateur de base de donnees » et pour 
privileges associes « super_db >> et « admin-db >>. Le role « administrateur de 
base de donnees » a pour domaine de validite les bases de donnees dont le 
nom finit par frlv.bull.fr a savoir « *.frlv.bull.fr ». 

Le procede effectue deux niveaux de controle, le second etant 
conditionnel par rapport au premier : 

• un premier niveau sur les types de ressources ; 

• un deuxieme niveau sur I'identifiant de la ressource. 

Lors du premier niveau de controle, le RAC 6 consulte la liste des 
controies d'acces (figure 2) a I'aide du RAD 1 1 . Un extrait de ladite liste selon 
I'exemple illustre est donnee sur la figure 3. Le moteur 13 d'autorisation du 
RAC 6 verifie qu'il existe au moins une entree de la liste qui satisfait les 
conditions d'obtention du droit demande, a savoir qu'elle contient les trois 
elements suivant, ladite ressource, le droit demande et I'un au moins des 
privileges du demandeur. 

Si les conditions d'obtention du droit ne sent pas satisfaites, a savoir 
qu'aucune entree de la liste ne contiennent les trois elements requis, le RAC 
6 via I'API 5 repond par la negative a la question de I'entlte 4 appelante. 
L'entite 4 appelante indique au demandeur 7 qu'il n'a pas le droit d'effectuer 
Taction demandee sur la ressource concernee, en I'espece d'arreter la base 
de donnees de facturation de Louveciennes. 

II est a souligner que le demandeur est informe qu'il ne peut effectuer 
une action determinee sur une ressource donnee avant tout acces ^ ladite 
ressource. 

Si les conditions d'obtention du droit sont satisfaites, a savoir qu'une 
ou plusieurs entrees de la liste contiennent simultanement les trois elements 
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requis, et que par ailleurs le domaine de validite dans la ou les entrees 
concernees ont la valeur « non », aucun controle supplementaire n'est 
requis. L'ensemble des ressources concernees sent accessibles pour le role 
donne. Le RAC via I'API repond par la positive a la question de I'entite 4 
5 appelante. L'entite 4 appelante autorise le demandeur 7 d'effectuer Taction 
demandee, en I'espece d'arreter la base de donnees de facturation de 
Louveciennes. 

Si les conditions d'obtention du droit sont satisfaites, a savoir qu'une 
10 ou plusieurs entrees de la liste contiennent simultanement les trois elements 
requis, et que par ailleurs le domaine de validite dans la ou les entrees 
concernees ont la valeur « oui », le precede passe au deuxieme niveau de 
controle. C'est le cas dans I'exemple traite : la premiere entree de la liste de 
la figure 3 satisfait les conditions d'obtention du droit demande par 
15 I'administrateur : le droit est celui d'arreter, le type de ressource est une base 
de donnee et le privilege requis est super_db. 

Lors du deuxieme niveau de controle, afin de determiner si le role en 
question peut effectuer Taction requise sur ladite ressource, le moteur 13 
20 d'autorisation realise un controle sur le domaine de validite associe au role 
courant si les trois conditions suivantes sont reunies : 

• la permission demandee contient un identifiant de ressource (nom, 
chemin) ; en effet, si le demandeur souhaite demarrer une base de 
donnees, la reponse ne peut qu'etre negative, aucune base de 

25 donnees n'etant specifiee. En revanche, si le demandeur souhaite 

demarrer la base de donnees de facturation de Louveciennes, une 
reponse peut etre apportee suivant le role et les privileges du 
demandeur ; 

• il existe au moins une permission configuree qui correspond a la 
30 permission demandee ; le RAC utilise le critere de controle d'acces 

pour identifier une ressource afin d'effectuer la comparaison des 
permissions demandees aux permissions configurees ; 
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• le champ consultation du domaine de validite a pour valeur oui, ce 
qui signifie qu'il faut verifier le domaine de validite, Taction etant 
restreinte a un sous-ensemble de la totallte des ressources. 
Lorsqu'un domaine de validite est assocle a un role et que le 
5 champ consultation du domaine de validite a pour valeur oui, tout 

demandeur disposant de ce role n'accede ou n'agit que sur des 
ressources du domaine de validite 

Si les trois conditions sent reunis, le RAC 6 compare I'ldentifiant de la 
10 ressource dans la question posee au domaine de validite du role retrouve 
dans les moyens de stockage 1 0 par le module 9 comme vu plus haut. 

Si le domaine de validite ne correspond pas a la ressource en 
question, les conditions d'obtention du droit ne sont pas remplies et le RAC 6 
15 repond a i'entite 4 appelante via I'API 5 que I'utilisateur n'a pas le droit de 
reaiiser Taction demandee. 

Si le domaine de validite correspond a la ressource en question, les 
conditions d'obtention du droit sont remplies et le RAC 6 repond a I'entite 4 
20 appelante via I'API 5 que I'utilisateur a le droit de reaiiser Taction demandee. 

Dans Texemple de la description, le precede compare la ressource 
base de donnees de facturatlon de Louveciennes dont le nom est 
« databaseJacturation.frlv.bull.fr » au domaine de validite du role 

25 adminlstrateur de base de donn6es qui est constitue des bases de donnees 
dont le nom finit par frlv.bull.fr a savoir « *.frlv.bull.fr >>. La ressource base de 
donnees de facturation de Louveciennes a un nom qui finit par frlv.bull.fr : 
elle appartient done au domaine de validite. L'entite 4 appelante autorise 
Tadministrateur 7 a arreter la base de donnees de facturation de 

30 Louveciennes. 



II est ^ souligner que 
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• les permissions sont independantes des demandeurs : les 
permissions sont accordees ou refusees suivant le role et les 
privileges du demandeur ; 

• le controle d'acces ne necessite pas d'acces physique aux 
5 ressources : un filtrage d'actions est realise avant tout acces ; 

• ie dispositif de controle d'acces est rapide. De plus, le dispositif et 
le precede selon Tinvention offrent une optimisation du controle 
d'acces. 

10 La presente invention concerne le precede de controle d'acces du 

demandeur 7 a des ressources 2d dans le systeme informatique 1, 
caracterise en ce quil consiste a definir des roles recouvrant un ou plusieurs 
privileges et representant une competence du demandeur pour realiser des 
taches specif iques, a enregistrer les roles definis dans les moyens 10,12 de 

15 stockage, et a enregistrer la liste de controle d'acces definissant les 
conditions d'obtention d'un droit sur un type de ressource, a savoir d'une 
permission configuree en terme de privileges dans lesdits moyens 10,12. 

Le precede effectue le controle d'acces du demandeur 7 a des 
20 ressources 2d sans acceder auxdites ressources 2d. 

Le precede effectue un controle d'acces a deux niveaux : 

• un premier sur le type des ressources 2d ; 

• un deuxieme niveau sur I'identifiant des ressources 2d. 

25 

Le precede consiste a : 

• identifier le demandeur ainsi que son role et ses privileges ; 

• comparer les privileges et les permissions demandees par le 
demandeur avec les privileges requis et permissions configurees 

30 enregistres dans les moyens 1 0 de stockage et ; 



16 



• autoriser Taction requise sur la ressource concernee lorsque des 
permissions demandees et configurees correspondent et que I'un 
des privileges requis correspond au privilege de I'entite. 

5 Le precede consiste a restreindre a une partie des ressources 

seulement les ressources accessibles pour un role donne au moyen d'un 
domalne de validite, et a enregistrer les domaines de validite constitues dans 
les moyens de stockage 10. 

10 Le precede consiste a consulter une information enregistree dans les 

moyens de stockage 1 0 relative a la necessite de consulter le domalne de 
validite et a verifier que la ressource concernee appartient au domaine de 
validite seulement si ladite information le requiert. 

15 Le precede consiste a regrouper des droits ou des ressources en 

groupes generiques representes par des caracteres speciaux ou mots-cles 
ou autres. 



La presente invention concerne egalement le dispositif susceptible de 
20 mettre en oeuvre le precede decrit ci-dessus. 

La presente invention se rapporte au dispositif de controle d'acces du 
demandeur a des ressources 2d dans le systeme informatique 1 , caracterise 
en ce qu'W comprend la machine 2a d'administration comportant le service de 
25 controle d'acces, le RAC 6 et les moyens de stockage 10 de roles, privileges 
et listes de controle d'acces. 
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REVENDICATIONS 

1. Procede de controle d'acces d'un demandeur (7) a des ressources (2d) 
5 dans un systeme informatique (1) dans lequel le demandeur se voit attribuer 

un ou plusieurs roles, base sur une liste de controle d'acces definissant les 
conditions d'obtention d'un droit sur une ressource, caracterise en ce qu1l 
consiste a restreindre a une partie des ressources seulement les ressources 
accessibles pour un role donne au moyen d'un domaine de validite du role. 

10 

2. Precede selon la revendication 1 , caracterise en ce qu'il enregistre une 
information supplementaire relative a la necessite de consulter le domaine de 
validite du role dans la liste de controle d'acces. 

15 3. Procede selon la revendication 2, caracterise en ce qu'il consulte 
I'information supplementaire relative a la necessite de consulter le domaine 
de validite du role et verifie que la ressource concernee appartient au 
domaine de validite seulement si ladite information le requiert. 

20 4. Procede selon la revendication 2, caracterise en ce qu'il effectue un 
controle d'acces a deux niveaux : 

• un premier sur le type des ressources (2d) ; 

• un deuxieme niveau sur Tidentifiant des ressources (2d). 

25 5. Procede selon !a revendication 4, caracterise en ce qu'il effectue un 
premier niveau de controle en verifiant I'existence d'au moins une entree de 
la liste de controle d'acces qui verifie les conditions d'obtention du droit 
demande et si I'entree existe, I'existence d'un domaine de validite pour ladite 
entree. 

30 

6. Procede selon la revendication 5, caracterise en ce qu'il effectue un 
deuxieme niveau de controle en verifiant si la permission demandee contient 
un identifiant de ressource, I'existence d'au moins une permission configuree 
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correspondant a la permission demandee, et la valeur de rinformation 
supplementaire relative a la necessite de consulter le domaine de validite. 

6. Precede selon I'une des revendications 1 a 5, caracterlse en ce qu'il 
5 consiste a regrouper des droits ou des ressources en groupes generiques 

representes par des caracteres speciaux ou mots-cles ou autres. 

7. Disposltif de controie d'acces d'un demandeur a des ressources (2d) dans 
un systeme informatique (1), caracterlse en ce qu'll comprend une machine 

10 (2a) d'administration comportant un service de contr6le d'acces, le RAC (6) 
et des moyens de stockage (10) de rSles, llstes de controie d'acces et 
domaines de validite. 

8. Dispositif permettant la mise en oeuvre du precede selon I'une des 
1 5 revendications 1 a 6. 

9. Module logiciel permettant la mise en CBuvre du precede selon I'une des 
revendications 1 a 6. 
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ABREGE DESCRIPTIF 

La presente invention concerne un precede de controle d'acces d'un 
demandeur (7) a des ressources (2d) dans un systeme informatique (1), 
5 consistant a definir des roles recouvrant un ou plusieurs privileges et 
representant une competence du demandeur pour realiser des taches 
specifiques, a enregistrer les roles definis dans des moyens (10,12) de 
stockage, et a enregistrer une liste de controle d'acces definissant les 
conditions d'obtention d'un droit sur un type de ressource, a savoir d'une 
10 permission conflguree en terme de privileges dans lesdits moyens (10,12). 

La presente invention concerne egalement le dispositif de mise en 
oeuvre dudit precede. 

15 

Figure de I'abrege : Figure 1 



